code cleanup: use ruleset_generate_rule to generate dhcp rules

assume rule is enabled if {enable} is not defined

dhcp out rule : use goto instead jump

Signed-off-by: Alexandre Derumier <aderumier@odiso.com>

use enable instead of disable

This make it easier to write the GUI.

implement nosmurfs option for hiost firewall

add tcpflags to host.fw example

implement option tcpflags for host firewall

But we only add the check for incoming packets, assuming that the
host itself never generates invalid tcp flags.

generate_group_rules : fix check of security group

Signed-off-by: Alexandre Derumier <aderumier@odiso.com>

fix dhcp rule

As suggested by Alexandre.

allow to use utf8 encoded comments

switch back to gnu99 std

So that we can compile with gcc 4.4

remove optimization which accepts unrelated traffic

Removing this alsmo make ips filter easier.

start VM firewall API

start host API

improve security group API

start API

new method load_security_groups()

remove obsolete comment

avoid dependency problems

use signalfd instead of g_unix_signal_add

Because g_unix_signal_add() creates an additional thread!

add option parser and print usage information

We can now start in debug mode with 'pvefw-logger -d'. This runs
in foreground and print messages to stdout (additionally).

add compile time test for log struct size

The STATIC_ASSERT macro declares an external function (which is never used).
The declaratin fails if the expression evaluates to false, because that
would result in a negative array bound.

use gnu11 instead of gnu99 (newer)

improve Makefile clean target

add missing init.d file for pvefw-logger

really stop daemon on write error

And a bunch of white-space cleanups.

additionally log status messages to syslog

use phydev numbers if name lookup fails

improve log format

add simple nflog daemon

fix 110.fw example

we can't parse [OPTIONS] if a comment is on the same line

Signed-off-by: Alexandre Derumier <aderumier@odiso.com>

add ifupdown helper to setup MASQUERADE on veth device

avoid use of --physdev-is-bridged whenever possible

Option physdev-is-bridged only match when both ports are bridged.
But we also want to check IN/OUT rules if only one port is bridged.

use correct mac for veth containers

add reminder that we should use ULOG

add documentation for masqueraded setup

do not use multiport for single port range

ifupdown.sh: correctly use ifup instead of ifconfig

ifupdown.sh: improve error handling

add ifupdown helper to create veth devices plugged into bridges

update documentation

implement allow_bridge_route feature

use perl taint mode

do not use perl -w

use RETURN instead of ACCEPT to allow further processing

only update nf_conntrack_max if firewall is started

plug venet0 chains into PVEFW-INPUT and PVEFW-OUTPUT

Container firewall should be fully functional now.

plug venet0 chains into PVEFW-FORWARD

We can now partly filter container traffic. Still need to add checks
in PVEFW-INPUT and PVEFW-OUTPUT chains.

add optimization as last step

use parse_address_list to validate IP list

generate chains for openvz venet

This is not fully functional, because we need to connect with uper level chains.

add veth chain to is_pvefw_chain()

start openvz support

Seems we can reuse generate_tap_rules_direction for bridged devices.

use underscore instead of hyphen for fw options

add nf_conntrack_max to example config

implement nf_conntrack_max option

cleanup - avoid warning about undefined value

cleanups - use better names

improve logging

Also log dropped inter-bridge traffic.

correctly init PVEFW-FORWARD chain

We generate that chain by default, so the old code never triggered.

add $bridge-OUT chain to PVEFW-INPUT

clear mark when entering tapXZY-OUT chain

correctly implement policy for host firewall

factor out code to produce policy rules

fix comment

remove unnecessary rule

s/enablehostfw/enable_host_firewall/

make sure syncookies are enabled

use PVE::ProcFSTools::write_proc_entry instead of system("echo ...")

cleanup ruleset_generate_rule()

improve clean target

delete emacs tmp files in all subdirs

remove stale file

merge IN/OUT section into RULES section

assemble debian package

implement log_level_in and log_level_out options

implement log level options

use a file to store firewall status persistently.

Start/stop saves state into a file. So the firewall remembers that status
even if the host is rebooted.

Also added helpers to update firewall rules and get current status.

ignoreZ source/destination port if no protocol specified

use defined() to check fot undefined value

improve multiport rule generator

It is not allowed to use --sports and --dports together!

fix Ping macro

improve example

allow to disable single rules, and add ability to add comments

add 'dhcp' option (enabled by default)

use PVEFW-reject instead of REJECT

accept traffic to unmanaged bridge ports

correctly apply macros

Allow to set additional parameters if they do not conflict with macros settings.

implement nosmurfs options (enabled by default)

implement option 'tcpflags' to log illegal combinations of TCP flags

make mac address filtering optional (default enabled)

use chains from previous commit to reduce logging

add some useful chains

Those chains implement basically the same rules as related shorewall action.

add a way to define some default chains

fix multiport rules and add icmp type names

Multiport module needs --dports/--sports (instead of --dport/--sport).
Also, a single port Range does not require --multiport.

Also added the ability to use icmp type name as 'dport' when proto is icmp.

cleanups

always use PVEFW-SET-ACCEPT-MARK for OUT chain

That way we can re-use chains for the host firewall.

bridge rules : -j ACCEPT for physical interfaces

We need to accept traffic at the end of bridge rules for outgoing packets from tap->ethX,
as we don't do ACCEPT in tap-out rules.

IN=vmbr0 OUT=vmbr0 PHYSIN=tap110i0 PHYSOUT=eth0

-A PVEFW-FORWARD -o vmbr0 -m physdev --physdev-is-bridged -j vmbr0-FW
-A PVEFW-FORWARD -i vmbr0 -m physdev --physdev-is-bridged -j vmbr0-FW

-A vmbr0-FW -m physdev --physdev-is-in --physdev-is-bridged -j vmbr0-OUT
-A vmbr0-FW -m physdev --physdev-is-out --physdev-is-bridged -j vmbr0-IN
-A vmbr0-FW -j ACCEPT

-A PVEFW-FORWARD -o vmbr0 -j DROP
-A PVEFW-FORWARD -i vmbr0 -j DROP

Signed-off-by: Alexandre Derumier <aderumier@odiso.com>

use RETURN instead ACCEPT for tap-out rules

Signed-off-by: Alexandre Derumier <aderumier@odiso.com>

implement VM policy option

implement 'enable' option

And pass whole VM firewall config to generate_tap_rules_direction. That way we
have acces to {options} section.